Средства защиты в виртуальных средах

В настоящее время средства защиты в виртуальных средах можно условно под­разделить на два класса.

Первый класс - это средства защиты, которые ранее поставлялись только в виде готовых аппаратных решений (appliances), а теперь выпускаются в том числе и в виде виртуальных устройств (virtual appliance). Подобные решения не привязаны к реализации защиты самой среды виртуализации и направлены в первую очередь на снижение расходов по эксплуатации средств защиты. Примеры таких решений - SSL VPN, антивирусы, решения по URL-фильтрации, инструменты уп­равления средствами защиты. Преимущества таких решений - быстрая скорость развертывания и ввода в эксплуатацию, использование существующих аппарат­ных мощностей заказчика, экономия ресурсов (место в стойках, электропитание, кондиционирование).

Второй класс образуют средства, предназначенные для защиты непосредствен­но виртуальных машин и контроля коммуникаций в виртуальной среде (на уровне гипервизора). К ним относятся:

v межсетевые экраны (брандмауэры);

v средства обнаружения и предотвращения вторжений;

v средства контроля целостности;

v средства защиты от вредоносных программ, учитывающие виртуализацию;

v средства защиты от несанкционированного доступа;

v средства контроля политик безопасности в виртуальных инфраструктурах.

Основным преимуществом этих средств является специализация на защите виртуальных сред и коммуникаций в них.

Среди производителей средств защиты для виртуальных сред можно отметить следующие компании:

v Trend Micro;

v Symantec;

v Checkpoint;

v StoneSoft;

v «Код Безо­пасности»;

v Reflex Systems.

Ниже рассматриваются пять технологий безопасности, реализованных в па­кете Trend Micro Deep Security, использование которых является необходимым и достаточным условием успешного перехода от физических к виртуальным и облачным средам [78].

Межсетевой экран (брандмауэр). Задача этой подсистемы - сокращение – атакуемой поверхности» виртуальных серверов.

Межсетевой экран содержит шаблоны для типовых корпоративных серверов которые обеспечивают следующие возможности:

v изоляцию виртуальной машины внутри определенного сетевого сегмента

v фильтрацию трафика;

v анализ протоколов семейства IP (TCP, UDP, ICMP и др.);

v поддержку всех типов сетевых фреймов (IP, ARP и др.);

v предотвращение атак типа «отказ в обслуживании»;

v внедрение политики безопасности;

v рекогносцировочное сканирование сетевого окружения на серверах облачных вычислений;

v учет местоположения при применении политики безопасности, который обеспечивает «перенос» сервера из внутренней сети на облачные pecypсы, позволяя автоматически переключаться на оптимальные параметры для каждой среды.

Обнаружение и предотвращение вторжений (IDS/IPS). Данная подсистема обеспечивает экранирование уязвимостей ОС и приложений до момента, когда будут установлены «заплаты».

Внедрение системы обнаружения и предотвращения вторжений в виде программного агента на виртуальных машинах позволяет экранировать уязвимости обнаруженные в ОС и приложениях:

v защита от любых атак на известные уязвимости без установки «заплат»;

v блокировка атак типа XSS и SQL Injection.

Контроль целостности. Контроль целостности ОС и приложений позволяет выявить опасные изменения, которые являются следствием компрометации сиетемы хакером или вредоносным кодом.

Эта подсистема выполняет:

v проверку по запросу или расписанию;

v контроль свойств файлов, включая атрибуты;

v контроль на уровне каталогов;

v гранулированную настройку объектов контроля;

v составление отчетов для аудита.

Защита от вредоносных программ, учитывающая виртуализацию. Защита от вредоносных программ, учитывающая виртуализацию, использует специальные программные интерфейсы, которые предоставляет гипервизор, в частности VMsafe компании VMware. Защита включает сканирование виртуальных машин как целиком на уровне гипервизора, так и в реальном времени, что обеспечивается антивирусным агентом внутри каждой ВМ. Такой подход гарантирует, что виртуальная машина очищена, даже если была неактивна.

Не менее важное свойство защиты от вредоносных программ для виртуальной машины бережное отношение к вычислительным ресурсам при проверке всей системы:

v предотвращение угроз со стороны вредоносного кода для активных и бездействующих машин;

v защита от вредоносных программ, которые деинсталлируют антивирус или блокируют его работу;

v интеграция с панелью управления системы виртуализации (VMware vCenter);

v автоматическая настройка защиты новых виртуальных машин.

Анализ журналов. Анализ журналов заключается в сборе и просмотре журналов работы ОС и приложений на предмет выявления событий безопасности.

Правила анализа журналов позволяют выявить значимые события в огромном массиве записей:

v обнаружение подозрительного поведения;

v сбор действий администратора, имеющих отношение к безопасности;

v сквозной сбор событий со всех частей ЦОД (физических, виртуальных и облачных серверов).

Внедрение непосредственно на виртуальной машине рубежа защиты, включающего в себя:

v программную реализацию межсетевого экрана, обнаружения и предотвращения вторжений;

v контроля целостности, защиты от вредоносного кода и анализа журналов.

Это является наиболее эффективным подходом к обеспечению целостности, соответствия требованиям регуляторов и соблюдения политики безопасности при перемещении виртуальных ресурсов из внутренней сети в облачные среды.

6.3. Обеспечение безопасности «облачных» сред на базе пакета Trend Mforo Deep Security

Облачная стратегия Trend Micro [101] подразумевает развитие двух независимых систем:

v первая предполагает создание и усовершенствование защиты хостов и |виртуальных машин;

v вторая - защиту данных, вынесенных в облака (рис.).

Первая система обеспечивает создание и совершенствование защиты хостов и виртуальных машин, расположенных в облачных ЦОД. Эту функцию выполняет группа продуктов Trend Micro, объединенная архитектурой Deep Security.

В эту группу входят:

v анализатор пакетов Deep Packet Inspection, проверяющий потоки входящих и исходящих пакетов на предмет нарушений протоколов, признаков атак, нарушения правил безопасности;

v средство для обнаружения и предотвращения вторжений;

v анализатор протоколов работы;

v технология создания защитных экранов вокруг виртуальных серверов,

Эти продукты объединяются в единую систему Deep Security с помощью трех управляющих компонентов:

v Deep Security Agent - агент, внедряемый в физический или виртуальный сервер;

v Deep Security Manager - менеджер, управляющий агентами;

v Security Center портал, отображающий происходящие процессы и позво­ляющий администрировать систему.

В процессе работы агенты Deep Security Agent получают из модуля Deep Security Manager профиль защищаемого сервера, где указаны его свойства и используемые средства защиты, и информируют управляющий модуль о происходящих процес­сах. Применение технологий Deep Security обеспечивает виртуальным серверам два важных качества.

Во-первых, каждый создаваемый виртуальный сервер комплектуется необхо­димыми средствами защиты; это можно назвать самообороной сервера.

Во-вторых, изменяется представление о периметре обороны. Если раньше гра­ница создавалась вокруг всей корпоративной системы, то теперь она окружает каждый отдельно взятый сервер. Поэтому, если быть точным, следует говорить не об отказе от защищаемого периметра, а о его изменении. Такое оборонительное сооружение называют репериметризацией.

Одно из важнейших достоинств Deep Security заключается в обеспечении защи­ты не только от внешних угроз, но и от угроз, которые могут исходить от других виртуальных машин, находящихся в том же ЦОД.

Последняя версия Deep Security включает в себя безагентный инструментарий для защиты от вредоносных программ и аналитическое решение для виртуализованных сред, имеет повышенную степень защиты сервера от нарушения
целостности данных и обеспечивает соответствие правовым требованиям.

Вторая система обеспечивает защиту данных в облаке. Эта система реализована в виде платформы Trend Micro SecureCloud.

Суть итого решения в том, что самим пользователям предоставляется эксклюзивное право контроля над ключами шифрования, в то время как технологии провайдера услуг гарантируют лишь совместное или автоматическое управление ими.

Предложенный Trend Micro метод защиты данных в облаке подразумевает «раз­деление обязанностей», наделяя пользователей облачных сред возможностями по увеличению их эффективности, он поддерживает контроль над хранящейся в облаках информацией. Владельцы данных получают эксклюзивную возможность диктовать время и место использования ключей шифрования, посредством чего они могут сохранять полный контроль над информацией и безопасно работать в любой облачной среде.

Бетa-версия Trend Micro SecureCloud поддерживает платформы Amazon EC2, Eucalyptus и VMwarc.

Дата добавления: 2013-12-12